Pengendali Bersama: Dua Perusahaan Berbagi Data Pelanggan, Siapa yang Bertanggung Jawab?

Apa itu pengendali bersama

Pengendali data adalah pihak yang menentukan tujuan dan kendali pemrosesan. Bila dua pihak atau lebih bersama menentukan tujuan dan caranya, mereka dapat disebut pengendali bersama.

Contohnya program kerja sama dua perusahaan yang menggabungkan data pelanggan untuk kampanye yang mereka rancang bersama.

Bila salah satu pihak melakukan pelanggaran, pihak lain tidak otomatis bebas. Karena itu, periksa kepatuhan mitra sebelum berbagi data dan minta jaminan tertulis tentang pengamanan yang dipakai.

Intinya, berbagi data memerlukan kejujuran tentang peran. Kedua perusahaan sebaiknya tidak menyerahkan semuanya kepada mitra atau berharap kontrak dapat menggantikan kepatuhan. Tulis peran, beri tahu pelanggan, dan cek rincian PP 33/2026 sebelum kerja sama berjalan.

Bedanya dengan prosesor

Prosesor memproses data atas perintah pengendali dan tidak menentukan tujuan sendiri. Percetakan yang hanya menempel label alamat pelanggan atas perintah toko adalah contoh prosesor. Artikel lain membahas bedanya lebih lengkap.

Bila pihak penerima data memakai data itu untuk tujuan dan kepentingannya sendiri, ia lebih dekat ke pengendali.

Pelanggan berhak mengetahui kepada siapa saja datanya diberikan. Tampilkan nama kedua perusahaan dalam pemberitahuan privasi, bukan hanya frasa umum seperti mitra kami.

Siapa yang bertanggung jawab

Prinsip umum yang dipakai banyak sistem hukum: pengendali bersama masing-masing tetap bertanggung jawab atas kepatuhan, dan kesepakatan di antara mereka tidak boleh merugikan pelanggan. Pelanggan sebaiknya bisa menuntut haknya kepada salah satu pihak.

Tentang bagaimana UU PDP dan PP 33/2026 mengatur secara tepat pembagian tanggung jawab, kami tidak menemukan rinciannya dalam sumber. Hal itu perlu dicek.

Kesepakatan berbagi data sebaiknya memuat batas waktu dan cara mengakhiri kerja sama, termasuk apa yang terjadi pada data ketika kerja sama berakhir. Data yang tidak lagi dibutuhkan perlu dimusnahkan oleh kedua pihak.

Perjanjian pembagian peran

Dua perusahaan sebaiknya menandatangani perjanjian tertulis. Isinya mencakup tujuan, jenis data, siapa yang memberi tahu pelanggan, siapa yang menerima permintaan hak, dan siapa yang melapor bila ada kebocoran.

Ringkasan inti perjanjian itu sebaiknya dapat dibaca pelanggan agar mereka tahu ke mana harus menghubungi.

Kebocoran pada salah satu pihak perlu segera diberitahukan kepada mitra. Menurut KRES.ID, PP 33/2026 menentukan notifikasi paling lambat 3x24 jam; bagaimana pembagian kewajiban notifikasi antar pengendali bersama perlu dicek.

Dasar hukum berbagi data

Berbagi data bukan otomatis sah hanya karena ada perjanjian bisnis. Pelanggan harus diberi tahu, dan harus ada dasar pemrosesan yang sah, misalnya persetujuan yang jelas untuk berbagi.

Menjual atau menyerahkan data tanpa dasar dapat berujung sanksi. Berhati-hatilah terhadap kerja sama yang pada dasarnya hanya jual beli daftar pelanggan.

Bila data dikirim ke mitra di luar negeri, aturan transfer lintas negara juga berlaku. Menurut pemberitaan, PP 33/2026 mengaturnya dalam tiga jenjang, sehingga periksa apakah kerja sama Anda memerlukan langkah tambahan.

Hal yang perlu disiapkan

Siapkan daftar periksa berikut sebelum berbagi data.

Bagi usaha kecil, kerja sama berbagi data sering berawal dari obrolan sederhana, misalnya dua toko ingin saling menawarkan produk kepada pelanggan masing-masing. Sebelum sepakat, tanyakan: apakah pelanggan sudah diberi tahu, apakah mereka setuju, dan siapa yang bertanggung jawab bila terjadi masalah.

Jika Anda ragu apakah suatu hubungan termasuk pengendali bersama, prosesor, atau pengendali terpisah, uraikan fakta kerja samanya. Siapa yang menentukan tujuan, siapa yang memutuskan data apa dikumpulkan, dan siapa yang memanfaatkan hasilnya. Konsultasikan dengan penasihat hukum untuk penilaian yang pasti.

• Tulis tujuan bersama dan batasnya.
• Tentukan peran masing-masing secara tertulis.
• Atur satu titik kontak pelanggan.
• Sepakati prosedur kebocoran dan permintaan hak.
• Periksa apakah penilaian dampak diperlukan.

Contoh dari dunia nyata dan risikonya

Dalam praktik, kerja sama dompet digital dengan toko, atau maskapai dengan hotel, sering memicu pertanyaan tentang siapa pengendali. Jawabannya bergantung pada fakta: siapa yang menentukan data apa yang dikumpulkan dan untuk apa dipakai.

Risiko terbesar adalah ketidakjelasan. Pelanggan yang datanya bocor tidak tahu harus menagih siapa, sementara dua perusahaan saling menyalahkan. Perjanjian yang jelas mencegah kebingungan dan mempercepat penanganan.

Kewajiban lain, seperti pencatatan aktivitas pemrosesan dan penunjukan pejabat pelindungan data pada kondisi tertentu, menurut KRES.ID diatur dalam PP 33/2026. Bagaimana kewajiban itu dibagi antar pengendali bersama tidak kami temukan, dan perlu dicek pada naskah resmi.

Dengan persiapan yang baik, berbagi data dapat memberi manfaat bagi pelanggan dan kedua usaha. Kuncinya adalah transparansi, pembagian tanggung jawab yang jelas, dan penghormatan terhadap hak pelanggan di setiap tahap kerja sama.

Contoh kasus

Contoh: Sebuah toko perlengkapan bayi dan sebuah klinik anak membuat program paket bersama. Keduanya menentukan jenis data yang dikumpulkan dan tujuan program. Mereka menandatangani perjanjian pembagian peran, menaruh ringkasannya di formulir pendaftaran, dan menunjuk satu surel untuk permintaan pelanggan. Pelanggan dapat menghubungi satu titik kontak, dan kedua usaha tahu persis tugas masing-masing bila terjadi masalah.

Hal yang sering keliru

• Mengira menandatangani kontrak bisnis cukup untuk membenarkan berbagi data.
• Mengira satu pihak bisa melepas tanggung jawab dengan menyerahkan semuanya kepada mitra.
• Menyamakan pengendali bersama dengan prosesor.

Dasar hukum

• Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi
• Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Pelindungan Data Pribadi (berlaku 16 Januari 2027 menurut pemberitaan)

Dalam kategori yang sama

• Pengguna Data dalam UU Satu Data Indonesia: Siapa Boleh Memakai Data dan Apa Batasnya?
• Pengumuman Publik Saat Data Bocor: Kapan Wajib Menurut Pasal 115 PP 33/2026
• Pengumuman Sanksi di Media Resmi Lembaga (Pasal 195 PP 33/2026): Dampak bagi Reputasi Usaha

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.